Permissions Comparison

Was es ist und warum es existiert

In IBM Engineering Lifecycle Management hängt das, was ein Benutzer in einem Projekt tun darf, von den Rollen des Projektbereichs und den Berechtigungen jeder Rolle ab: wer Artefakte erstellen oder löschen, ein Modul ändern, ein Review genehmigen, eine Baseline erstellen oder ein Änderungsset ausliefern darf. Teambereiche, Zeitachsen und Iterationen können diese Berechtigungen für ihren Teil des Projekts noch einmal ändern.

Unternehmen starten in der Regel jedes Projekt aus derselben Prozessvorlage, und danach driften die Projekte auseinander. Ein Projekt erlaubt Autoren das Löschen von Artefakten, ein anderes gibt einem Teambereich eigene Berechtigungen, ein drittes hat eine Rolle, die den anderen fehlt. Der Web-Client zeigt die Berechtigungen immer nur eines Projektbereichs, also bedeutet das Finden dieser Unterschiede, dieselben Seiten nebeneinander zu öffnen, Rolle für Rolle. Permissions Comparison liest sie für Sie aus und listet nur auf, was abweicht.

Gelöste Probleme

• Projektbereiche aus derselben Vorlage, deren Berechtigungen nicht mehr übereinstimmen, ohne dass jemand weiß, wo.
• Zugriffsprüfungen, bei denen jede Rolle in jedem Projektbereich von Hand geprüft werden muss.
• Teambereiche oder Iterationen, die einer Rolle unbemerkt mehr oder weniger Berechtigungen geben als der Projektbereich.
• Kein Nachweis für einen Auditor, dass die dokumentierten Rollen und Berechtigungen auch die auf dem Server konfigurierten sind.

Warum es für Normen und Audits wichtig ist

Normen für regulierte und sicherheitsrelevante Entwicklung nennen selten ein Werkzeug, erwarten aber, dass nur berechtigte Personen kontrollierte Aufzeichnungen ändern können und dass Sie zeigen können, wer was tun darf. In einem ELM-Projektbereich sind diese Kontrolle die Rollenberechtigungen. Mit Permissions Comparison prüfen Sie, ob sie in jedem Projekt gleich sind und zu Ihrem dokumentierten Prozess passen.

• FDA 21 CFR Part 11 (elektronische Aufzeichnungen bei Medizinprodukten und in der Pharmaindustrie): § 11.10(d) verlangt „limiting system access to authorized individuals“ (den Systemzugriff auf berechtigte Personen zu beschränken) und § 11.10(g) Berechtigungsprüfungen, damit nur berechtigte Personen eine Aufzeichnung ändern oder den jeweiligen Vorgang ausführen können. Der Vergleich zeigt je Projektbereich, welche Rolle welchen Vorgang ausführen darf.
• ISO/IEC 27001:2022: die Maßnahmen aus Anhang A 5.15 Access control, 5.18 Access rights, 5.3 Segregation of duties und 8.2 Privileged access rights. Zugriffsrechte sind regelmäßig zu überprüfen und unvereinbare Aufgaben getrennt zu halten, zum Beispiel die Rolle, die eine Anforderung schreibt, und die Rolle, die sie genehmigt. Der Excel-Bericht hält fest, was wann geprüft wurde.
• ISO 26262, Automotive SPICE, DO-178C und IEC 62304: Alle vier verlangen Konfigurationsmanagement und Änderungsmanagement für Arbeitsprodukte wie Anforderungen (ISO 26262 Part 8, SUP.8 und SUP.10 in Automotive SPICE, Abschnitt 7 von DO-178C, Abschnitt 8 von IEC 62304). In DOORS Next gehört zu dieser Kontrolle, welche Rollen Artefakte ändern, Baselines erstellen und Änderungen ausliefern dürfen. Ein Projekt, dessen Rollen mehr erlauben, als der Prozess beschreibt, ist ein typischer Audit-Befund.

Ein Assessor prüft eine Stichprobe von Projekten und erwartet in jedem denselben Prozess. Vergleichen Sie vor dem Assessment jeden Projektbereich mit Ihrem Referenzprojekt, dann sehen Sie die Unterschiede als Erste.

Vorteile

• Jeder Unterschied in einer Liste: Rollen, ihre Reihenfolge und Kardinalität sowie jede Berechtigung, die auf einer Seite erlaubt ist und auf der anderen nicht, für den Projektbereich, die Teambereiche und auf Wunsch Zeitachsen und Iterationen.
• Eine Quelle, viele Ziele: Vergleichen Sie einen Referenz-Projektbereich mit bis zu 25 anderen derselben Anwendung.
• Funktioniert in jeder ELM-Anwendung: DOORS Next, Workflow Management (EWM), Test Management (ETM) und Global Configuration, über ein ELM Mini Dashboard.
• Excel-Bericht mit der vollständigen Berechtigungsmatrix, bereit für eine Zugriffsprüfung oder eine Auditakte.
• Nur lesend: Das Widget liest und ändert nie eine Berechtigung.

Verwendung

1. Wählen Sie unter Settings, ob Teambereiche (anfangs an) und Zeitachsen und Iterationen (anfangs aus) verglichen werden.
2. Wählen Sie unter Compare die Application. From ist die Quelle: Auf einem DOORS Next-Dashboard ist sie mit dem geöffneten Projekt vorbelegt, und Change wählt einen anderen Projektbereich.
3. Klicken Sie unter To auf Add, markieren Sie bis zu 25 Projektbereiche (Suche, Select all und Show archived helfen dabei) und klicken Sie auf Apply.
4. Klicken Sie auf Compare. Der Ergebnisblock zeigt die Anzahl der Unterschiede je Kategorie oder je Ziel sowie die Ziele, die nicht gelesen werden konnten, mit Retry.
5. Wählen Sie unter Differences bei mehreren Zielen ein Ziel, dann Roles oder Permissions. Berechtigungen sind nach Rolle und Ebene gruppiert, zum Beispiel Author / Team area: Business Recovery. Ein Klick auf eine Zeile zeigt beide Seiten.
6. Klicken Sie im Ergebnisblock auf Export to Excel, um den gesamten Vergleich zu speichern.

Gut zu wissen

• Rollen werden über die ID abgeglichen, dann über den Namen, sodass eine Rolle mit demselben Namen und einer anderen ID als dieselbe Rolle gilt. Die Reihenfolge der Rollen wird verglichen, weil ein Benutzer mit mehreren Rollen die Berechtigung der ersten Rolle erhält, die sie erlaubt.
• Das Widget vergleicht Rollen und ihre Berechtigungen, nicht, wer sie innehat. User Audit listet auf, welche Benutzer welche Rollen haben.
• Ein Teambereich, eine Zeitachse oder eine Iteration, in der nur eine Seite einer Rolle eigene Berechtigungen gibt, wird als eine Zeile gemeldet, nicht als lange Liste von Berechtigungsunterschieden.
• Typische Einsatzfälle: vor einem Audit oder Assessment, nach einer Änderung der Prozessvorlage und wenn ein neues Projekt aus einer Vorlage angelegt wird.
• Das Widget macht ein Projekt nicht konform. Es liefert Ihnen die Fakten, um zu prüfen, ob die Berechtigungen zu Ihrem dokumentierten Prozess passen, und einen Bericht, den Sie als Nachweis aufbewahren können.